あなたの組織は AWS Organizations で 20 の AWS アカウントを管理しています。各アカウントで動作するアプリケーションが、中央管理アカウントの AWS Systems Manager Paramet

Question

あなたの組織は AWS Organizations で 20 の AWS アカウントを管理しています。各アカウントで動作するアプリケーションが、中央管理アカウントの AWS Systems Manager Parameter Store に保存された KMS 暗号化済み SecureString パラメータをクロスアカウントで取得する必要があります。この要件を実現するために必要な設定を 2 つ選んでください。

Accepted Answer

正解: Parameter Store を Standard Tier から Advanced Tier にアップグレードし、対象パラメータにリソースベースポリシーを設定して、アクセスを許可するアカウントの IAM プリンシパルを指定する。 / パラメータの暗号化に使用している KMS カスタマーマネージドキー（CMK）のキーポリシーに、アクセスを許可するアカウントの IAM プリンシパルを追加して復号権限を付与する。。正解：
Parameter Store を Standard Tier から Advanced Tier にアップグレードし、対象パラメータにリソースベースポリシーを設定して、アクセスを許可するアカウントの IAM プリンシパルを指定する。
パラメータの暗号化に使用している KMS カスタマーマネージドキー（CMK）のキーポリシーに、アクセスを許可するアカウントの IAM プリンシパルを追加して復号権限を付与する。

クロスアカウントで Parameter Store の SecureString を共有するには 2 つの設定が必要です。
①Advanced Tier にアップグレードするとパラメータ単位のリソースベースポリシーが設定でき、他アカウントの IAM プリンシパルに GetParameter 権限を付与できます（Standard Tier ではリソースベースポリシー不可）。
②SecureString は KMS CMK で暗号化されているため、アクセス元アカウントの IAM プリンシパルが CMK で Decrypt できるようキーポリシーへの追加も必須です。
選択肢BのAdministratorAccess の付与は最小権限の原則に違反する高リスクな構成です。また Standard Tier ではリソースベースポリシーを設定できないため、クロスアカウントの GetParameter 自体を安全に許可する仕組みが整いません。
選択肢DAWSResource Access Manager（RAM）は Parameter Store パラメータの共有に対応していないため、この用途では使用できません。
選択肢ES3 バケットへの保存は Parameter Store が提供するバージョン管理・KMS 暗号化・一元管理を別サービスで代替する回避策であり、ベストプラクティスに反します。既存の参照コード変更も必要になります。

Answer

Parameter Store Standard Tier のままで、各アカウントの IAM ロールに AdministratorAccess を付与してクロスアカウントアクセスを実現する。 — AdministratorAccess の付与は最小権限の原則に違反する高リスクな構成です。また Standard Tier ではリソースベースポリシーを設定できないため、クロスアカウントの GetParameter 自体を安全に許可する仕組みが整いません。

Answer

AWS Resource Access Manager（RAM）を使って Parameter Store のパラメータを各アカウントに共有する。 — AWSResource Access Manager（RAM）は Parameter Store パラメータの共有に対応していないため、この用途では使用できません。

Answer

中央管理アカウントに S3 バケットを作成してパラメータ値を保存し、バケットポリシーで他アカウントからの GetObject を許可する。 — S3 バケットへの保存は Parameter Store が提供するバージョン管理・KMS 暗号化・一元管理を別サービスで代替する回避策であり、ベストプラクティスに反します。既存の参照コード変更も必要になります。

解説

解説